L’implementazione e l’utilizzo dell’Intelligenza Artificiale nel lavoro negli Enti Pubblici richiede una riflessione approfondita sull’impatto che può avere nella gestione della privacy, e nella corretta protezione dei dati personali, alla luce del nuovo Regolamento Europeo sull’Intelligenza Artificiale n. 1689/2024 che per alcuni aspetti è già pienamente in vigore e operativo, soprattutto del rapporto tra quest’ultimo e il GPDR 679/2016.
Gli adempimenti che devono essere messi subito in campo sono diversi, ovvero:
la regolamentazione di Ente sull’utilizzo dell’IA;
la formazione tecnica di tutti i dipendenti;
l’aggiornamento del Registro dei Trattamenti dei Dati;
la DPIA Valutazione d’Impatto sull’utilizzo dell’IA.
Il datore di lavoro non può geolocalizzare i dipendenti in smart working. Lo ha affermato il Garante privacy nel comminare una sanzione di 50mila euro ad un’Azienda che rilevava la posizione geografica di circa cento dipendenti durante l’attività lavorativa svolta in modalità agile. Numerose le violazioni riscontrate dal Garante, intervenuto a seguito di un reclamo di una dipendente e di una specifica segnalazione da parte dell’Ispettorato della Funzione Pubblica.
Dall’istruttoria è infatti emerso che l’Azienda effettuava un monitoraggio dei propri dipendenti per verificare l’esatta corrispondenza tra la posizione geografica in cui si trovavano e l’indirizzo dichiarato nell’accordo individuale di smart working, anche in base a specifiche procedure di controllo mirato. In particolare, in base a tali procedure, il personale, scelto a campione, veniva contattato telefonicamente dall’Ufficio controlli con la richiesta di attivare la geolocalizzazione del pc o dello smartphone, effettuando una timbratura con un’apposita applicazione, e di dichiarare subito dopo, tramite un’e-mail, il luogo in cui in quel preciso momento si trovava fisicamente. A tale richiesta, seguivano poi le verifiche e gli eventuali procedimenti disciplinari dell’Azienda. Il tutto in assenza di un’idonea base giuridica e di un’adeguata informativa, oltre alle conseguenti interferenze nella vita privata dei dipendenti e a numerose altre violazioni del Regolamento europeo e del Codice.
Le diverse esigenze di controllo dell’osservanza dei doveri di diligenza del lavoratore in smart working – ricorda il Garante – non possono infatti essere perseguite, a distanza, con strumenti tecnologici che, riducendo lo spazio di libertà e dignità della persona in modo meccanico e anelastico, comportano un monitoraggio diretto dell’attività del dipendente non consentito dallo Statuto dei lavoratori e dal quadro costituzionale.
Il Garante privacy ha dato l’ok alle misure tecniche e organizzative adottate dell’Istituto nazionale di statistica (Istat) per garantire la tutela dei dati personali trattati e l’effettiva applicazione dei principi di protezione dei dati. Tali soluzioni, che hanno determinato un importante cambiamento nella gestione e utilizzazione delle banche dati da parte dell’Istituto, nascono da due provvedimenti prescrittivi del Garante del 2020 e del 2023. Tra le misure allora ingiunte, la necessità di dotarsi di un sistema di pseudonimizzazione dei dati robusto, avanzato e adeguato a tutelare l’enorme mole di dati trattati. L’Istat è infatti il principale depositario del patrimonio informativo del Paese e può acquisire dati personali da tutte le banche dati pubbliche nonché da soggetti privati oltre che dai social media.
Attualmente l’Istituto, in ottemperanza agli obblighi di privacy by design e by default, a seguito degli interventi dell’Autorità, ha adottato misure di pseudonimizzazione adeguate a garantire la tutela dei dati trattati e un’effettiva applicazione dei principi di protezione dei dati personali, in particolare quelli di minimizzazione, di limitazione della finalità e della conservazione nei trattamenti necessari per la produzione della statistica ufficiale. Prima dell’intervento del Garante, l’Istat si limitava a codificare i dati trattati attraverso un codice pseudonimo univoco e statico, che identificava l’individuo lungo tutte le proprie rilevazioni statistiche, con rischi di trattamenti spesso eccedenti rispetto alle finalità perseguite dalle singole rilevazioni statistiche. Mediante la classificazione e mappatura delle fonti e dei dati personali acquisiti, la definizione degli ambiti di utilizzo e l’implementazione di una codifica gerarchica degli pseudonimi, ciascuno con una validità limitata nel tempo e rispetto alla specifica finalità perseguita, l’Istat ha invece potuto mettere in atto un sistema di governance dei dati conforme al Regolamento. La rilevanza delle misure adottate rende oggi l’Istat – a parere dell’Autorità – punto di riferimento per le altre amministrazioni pubbliche che gestiscono grandi banche dati a fini statistici.
Acconsento al trattamento dei miei dati personali finalizzati al solo utilizzo del servizio di formazione, ai sensi del R. EU 679/2016 e del dlgs 196/2003
Informativa sulla privacy
Rispondi